可有效防御多种攻击的物联网身份认证方案

张俊峰

(阜阳职业技术学院, 安徽 阜阳 236031)

0 引言

随着5G覆盖范围的逐步增加和移动终端设备性能的快速提升,物联网迎来了快速的发展阶段,海量终端接入到物联网中,促进物联网快速发展的同时也带来了一系列的安全问题[1-3],如何有效验证物联网终端的身份就是其中一个亟待解决的问题,物联网终端身份验证问题的有效解决将可以从源头控制物联网的安全,反之则会给物联网的安全带来很多漏洞,甚至严重影响物联网的快速发展。

结合物联网终端的低计算能力、电力供应困难等特点,针对物联网现有验证方案中存在的防御网络攻击能力弱、计算开销大等问题,国内外进行了一系列的研究。针对中心化的物联网身份验证方案面临的挑战,利用区块链的去中心化、防篡改等特点提出了一系列的验证方案[4-7],基于区块链的验证方案需要多个物联网终端参与身份认证过程,经过一系列的迭代运算提高了身份验证的安全性,同时通过去中心的验证思想可以有效避免因验证中心被攻击带来的安全问题,但是由于基于区块链的验证方案需要多个物联网终端参与身份验证,且物联网中终端计算能力和能耗供应能力参差不齐,所以基于区块链的验证方案极大地限制了应用场景。

文献[8-15]分别提出了基于XOR、T函数、ECC算法和椭圆形曲线的轻量级的物联网终端身份验证方案,与基于区块链的验证方案相比,轻量级的验证方案可以降低对物联网终端计算能力的要求,提高物联网终端验证方案的适配场景,但是在防御欺骗攻击、重放攻击等网络攻击方面存在一些问题。

综上,本文针对物联网终端身份验证过程中存在的防御网络攻击能力弱、计算开销大等问题,提出了一种可有效防御多种攻击的物联网身份认证方案(MA-IOT)。该方案利用验证向量和哈希函数的有机结合,在降低计算开销和通信开销的前提下,可有效防御多种攻击,提高了验证过程的安全性。

1 MA-IOT方案

1.1 MA-IOT方案基本思想

为了减少物联网终端的计算开销、有效降低能耗,MA-IOT方案通过物联网管理平台完成物联网终端身份的认证,较第三方认证降低了安全风险和通信开销。为进一步提升验证的安全性,在MA-IOT方案中设计了终端和认证服务器双向身份认证的过程,可以极大提升防御重放、欺骗、伪造等多种网络攻击的防御效果。

1.2 方案理论依据

根据线性代数相关知识以及哈希函数特点,得出以下定义和性质。

定义:向量X为有限域Fq中的向量,向量X的零空间为XØT=0所有解向量组成的集合。

性质1:抗碰撞性。向量X、Y为有限域Fq中的向量,H(X)和H(Y)分别为经过哈希函数运算后的结果,若X≠Y,则H(X)≠H(Y)。

性质2:离散性。向量X、Y为有限域Fq中的向量,H(X)和H(Y)分别为经过哈希函数运算后的结果,若X和Y有一位不同,则(X)和H(Y)差别较大。

性质3:单向性。向量X为有限域Fq中的向量,H(X)为经过哈希函数运算后的结果,则由H(X)无法推导出X。

1.3 方案验证过程

1.3.1 符号定义

符号定义如表1所示。

表1 符号定义表

1.3.2 验证过程

终端身份验证过程如图1所示。

具体验证过程表述如下。

(1)根据授权终端唯一的MAC地址,向量X为每一个授权终端生成验证向量Y,将验证向量通过可信传送信道分发给授权终端,授权终端验证向量的生成过程如下:

Yi=∂Øi

其中,i为需要验证终端的编号;∂为有限域Fq中的非0元素。

(2)当某终端需要接入物联网管理平台时,向管理平台发起验证请求,验证请求包含终端的编号i,管理平台收到验证请求后,随机生成一个验证辅助信息Ci,Ci的表示形式如下:

Ci=[c1,c2,…,cn,ti]

(3)管理平台将该终端对应的验证向量Yi和验证辅助信息Ci串接一起,串接后的结果为Di,表示如下:

Di=Yi||Ci=[y1,y2,…yn,c1,c2,…,cn,ti]

(4)管理平台将Di作为哈希函数H的输入,生成终端i的验证信息Mi,并将Mi和验证辅助信息Ci一起发送给终端i,其中Mi表示如下:

Mi=H(Di)=H(Yi||Ci)=H([y1,y2,…,yn,c1,c2,…,cn,ti])

2 MA-IOT方案安全性分析

2.1 安全性分析

2.1.1 验证准确性分析

分析MA-IOT方案验证的准确性等同于分析1.2方案理论依据中性质1的准确性,即分析在有限域Fq中,若X≠Y,则H(X)=H(Y)的概率。为便于更直观地分析MA-IOT方案验证的准确性,本文以哈希函数常用的MD5为例进行分析。

假设哈希函数MD5的输出是完全随机的,那么两个不同自变量经过哈希函数MD5运算后的结果相同的概率符合生日悖论公式,即2个不同自变量产生相同哈希值的概率P表示如下:

P=(1-e^(-N(N-1)/(2×232)))/N

其中,N为输入的总数,即自变量的可能个数;e为自然常数(约等于2.718 28)。

为直观展示经过哈希函数MD5生成的验证信息的抗碰撞性较强,分别设定验证辅助信息Ci的长度为32位,N的大小为280,则两个不同自变量产生相同哈希值的概率P的大小如表2所示。

低碳经济推动着会计理念改革，而会计理念改革也将加快全球低碳经济化的形成。为了紧跟低碳经济发展脚步，电力企业财务工作者必须改革传统的会计管理理念以及操作技术。站在全面客观的角度，综合考虑企业低碳排放在市场需求与能源成本之间的关系，特别是在市场准入、税收政策、金融支持等方面的影响。

表2 不同自变量产生相同哈希值的概率大小

通过表2数据可知,两个不同自变量产生相同哈希值的概率为7.153×10-25,MA-IOT方案验证的准确性为1-7.153×10-25,证明MA-IOT方案验证的准确性能够满足要求。

2.1.2 防重放攻击分析

重放攻击是指恶意终端截获授权终端发送给管理平台的验证信息,然后将验证信息重复多次发送给管理平台,造成管理平台宕机或者性能急剧下降,进而无法正常完成验证工作。MA-IOT方案在进行身份验证时,为防御重放攻击,引入验证辅助信息Ci=[c1,c2,…,cn,ti],在验证辅助信息设计时间戳ti,如果终端没有在时间戳ti规定的时限内发送验证信息,管理平台将不再处理该终端的验证信息,恶意终端无法依靠重复多次发送验证信息的手段达到瘫痪管理平台的目的,可以有效避免重放攻击。

2.1.3 防欺骗攻击分析

欺骗攻击是指当管理平台和终端中的一方被黑客攻陷,但仍以正常身份参与验证过程,以达到欺骗对方完成隐私信息窃取的攻击方式。在MA-IOT方案中,通过2.3.2验证过程的(4)(5)(6)步骤设计双向身份鉴别机制,即不仅管理平台需要验证终端是否是授权终端,授权终端也需要验证管理平台是否是“真实”的管理平台,可极大提高MA-IOT方案抵御欺骗攻击的能力。

2.1.4 防伪造攻击分析

伪造攻击是指通过伪造授权终端的验证信息,试图通过管理平台的验证。MA-IOT方案在进行身份验证时,验证信息是通过哈希函数生成的,根据2.2方案理论依据中性质1、2、3可知,验证信息是无法逆向恢复的。另外,MA-IOT方案在生成验证信息时,引入验证辅助信息Ci=[c1,c2,…,cn,ti],由于验证辅助信息是在终端发起身份验证时,管理平台随机生成的,且引入了时间戳,所以即使恶意攻击者截获验证信息,由于在时间戳的限制内无法逆向恢复,且不知道随机生成的验证辅助信息,是无法伪造验证信息并实施伪造攻击的。

2.1.5 防隐私泄露分析

在MA-IOT方案中,验证信息是利用终端MAC地址的正交向量和验证辅助信息通过哈希运算生成的,根据2.2方案理论依据中性质3可知,恶意终端无法通过验证信息反向恢复隐私信息,即不会造成任何隐私的泄露。

2.2 计算开销分析

在MA-IOT方案中,由于验证过程是利用管理平台和终端生成的验证信息是否相同来判断验证终端是不是授权终端,故此过程中产生的计算开销可以忽略不计,因此,MA-IOT方案验证过程中的主要计算开销来自2个方面:一是生成验证向量带来的计算开销,二是利用验证向量和验证辅助信息生成验证信息的开销。

为证明MA-IOT方案的计算开销优势,本文以张俊峰[15]提出的NS-IOT方案和谭琛等[4]提出的DA 验证方案为比较对象,鉴于矩阵运算和哈希函数运算的不同,理论分析不能够直观展示,本文通过模拟仿真MA-IOT方案的验证过程,得到了3种终端身份认证方案验证过程所需的时间,具体如表3所示。

表3 3种方案验证过程计算开销 单位:ms

通过仿真结果可知,MA-IOT方案在计算开销方面较DA验证方案优势较为明显,较MA-IOT验证方案在计算开销方面有一定的优势。

2.3 通信开销分析

由于物联网终端在通信过程中需要消耗一定的电力资源,因此,控制通信开销是物联网终端身份验证方案的一个重要性能指标。在MA-IOT方案中,验证过程的主要通信开销来自传输验证信息Mi和验证辅助信息Ci。其中,验证辅助信息Ci的大小可根据适用场景的安全需求进行调整。本文以验证辅助信息Ci的长度为32位进行分析。MA-IOT方案的通信开销为T,具体表示如下:

T=L(Mi)×2+L(Ci)=6 B×2+4 B=16 B

其中,L(Mi)和L(Ci)分别为验证信息的大小和验证辅助信息的大小。

故MA-IOT方案的通信开销大小约为16 B,能够满足物联网场景的能耗要求。

3 结语

本文针对物联网终端身份验证过程中存在的防御网络攻击能力弱、计算开销大等问题,提出了一种可有效防御多种攻击的物联网身份认证方案(MA-IOT),该方案利用验证向量和哈希函数的有机结合,在降低计算开销和通信开销的前提下,可有效防御多种攻击,提高了验证过程的安全性。